StealCのコードを再利用したStadiaを解析―情報窃取に遠隔操作を追加

Varonisは2026年10月22日付の記事で、遠隔操作型マルウェア「Stadia」の解析を公表しました。同月16日に販売が告知された検体を入手し、管理画面と自社の検証用Windows端末で動作を調べています。情報窃取型マルウェアStealCと同じコードの一部が使われていました。

Stadiaは、パスワードやCookieなどの情報窃取に加え、利用者から見えないデスクトップの操作、コマンド実行、ファイルの送受信、追加プログラムの読み込みを備えます。研究者は、ブラウザーの暗号化データに関わる約26KBの処理がStealCの検体とバイト単位で一致することを確認しました。

検体は正規の更新プログラムに似た名前で保存され、隠れたタスクで繰り返し起動します。通信はJSON形式を名乗りながら、実際の本文は暗号化されたデータでした。今回確認された機能や通信は検体解析と管理下の端末での検証結果であり、掲載された販売者の画面から被害台数を確定することはできません。

Varonisは、不審なProgramData配下の実行ファイル、15分間隔の隠しタスク、Defenderの除外設定追加を検知の手掛かりに挙げています。通信先は検体ごとに変わるため、公開されたIPアドレスの遮断だけで全亜種を防げるとはしていません。